#003) AWS 필수 MFA 설정 방법 /분실,해킹시 대처

https://docs.aws.amazon.com/ko_kr/IAM/latest/UserGuide/id_credentials_mfa.html

AWS에서 멀티 팩터 인증(MFA) 사용 - AWS Identity and Access Management

#001) 계정 생성하기 에서 AWS Root 계정을 생성해보았습니다. 

필수는 아니지만 여러 이유에서 적극 권장되는 MFA 설정을 해보겠습니다.

 

 

 

MFA(Multi-Factor Authentication)란?
MFA는 로그인 시 2개 이상 인증이 통과해야 로그인이 되게 하는 시스템으로서 보안을 더욱 강화해주는 방법

비밀번호가 유출되어도 로그인을 쉽게 하지 못하기 때문에 안전한 게
계정을 보호할 수 있습니다.
실제로 계정이 해킹되어 이메일 주소를 비슷하게 바꾸거나
코인 채굴등 비정상적인 목적으로 사용되어 몇 백 ~ 만원 등의 과금이
발생하는 경우가 있으므로 조심해야 합니다.
.

.

.
MFA를 본격적으로 생성 전 개인정보에서 이메일 주소와 전화번호를 한번 더 확인해
업데이트되야할 사항이 있는지 꼼꼼히 체크해줍니다. ( MFA 분실 시 
연동되어 확인해야할 경우가 생깁니다.)

 

1. MFA 생성하기

우측 상단 계정이름 탭으로 가서 최 하단의 보안자격증명에 들어갑니다.

 

 

 

MFA 부분의 MFA 활성화를 눌러줍니다.

 

 

 

 

 

필요에 따라 접근방식 옵션을 선택해주면 되는데, 이번에 접근성이 쉬운 Virtual MFA device를 선택해보겠습니다.

 

 

 

 

 

호환이 가능한 MFA 방식들입니다. 이중에 저는 Google Authenticator로 선택해서 휴대폰 어플로 찾아서 설치해줍니다.

 

 

 

설치가 된 후, 어플로 들어가서 하단 오른쪽 추가 아이콘을 눌러서 Scan a QR code 를 눌러줍니다.

 

 

 

다시 AWS 화면으로 돌아가 2번째 부분에서 QR 보여주기를 눌러주면 QR 이생성되는데 휴대폰으로 QR을 스캔해줍니다.

 

 

 

 

그리고 AWS 화면 QR 코드 바로 아래, MFA 코드를 입력하는 곳에 어플화면에 나와있는 6글자 코드를 넣어줍니다.

그리고 몇초 기다린 후 새로 뜨는 코드를 아래칸에 입력해줍니다.

 

 

 

정상적으로 등록이 완료되었습니다. MFA 가 생성된 어플을 실수로 삭제하시는 일은 없도록 합니다.

 

 

 

MFA 가 정상적으로 설정되었다면 로그인 화면에서 비밀번호를 입력하면 전과같이 콘솔로 넘어가는 것이 아닌 MFA 코드 입력 화면이 뜹니다. 이때 전에 설정하였던 접근방식에 들어가서 코드를 확인해줍니다.

 

 

 

 

앞서 설정했던 Google Authenticator로 들어가서 코드를 확인하고 입력해줍니다.

코드 옆 오른쪽 원형 바가 타임아웃이 되어 코드가 바뀌면 바뀐 코드로 입력해주면 됩니다.

(root 사용자일 경우 root-account-mfa.. 의 코드를 입력합니다.)

 

 

 

 

1) MFA 설정하지 않는다면?
계정이 해킹되었을 경우 사용하지 않은 리소스에 대해
과도한 비용이 청구될 수 있으며, 이때 책임은 보안을 철저히 해두지 않은
Root 사용자에게 전가될 수 있습니다.

-> 부득이하게 문제 발생 시 AWS Support Center 고객센터에
발생상황을 자세히 문의해두고 보안팀 확인 결과에 따라 적절한 처리를 해줄 수 있습니다.
(환불 혹은 크레디트 처리 등등)

* Root 사용자 대신 Master 사용자를 생성해서 Root 사용자에 버금가는
권한을 부여해주고 MFA 설정과 함께 사용하는 것이 안전합니다.

 

2) MFA를 분실한 경우?
MFA device에 예기지 못한 문제가 생기거나 보안 앱을
삭제하거나 자동 업데이트된 경우 초기화되어 인증방법을
사용할 수 없게 될 수도 있습니다.

-> 대체 인증방법을 사용하여 로그인
멀티 펙터 인증 MFA 코드 제출 버튼 하단에 MFA 문제 해결
양식을 누르고 대체 인증 방법을 사용하여 로그인에 들어갑니다.

1단계, 확인 이메일 전송을 누르고 본인이 받은 확인 이메일에
"Verify your email address" 링크를 눌러 본인인증 확인을
간략히 거칩니다.

2단계, 전화번호 확인의 지금 전화하기 버튼을 누릅니다.
화면에 있는 숫자를 키패드로 입력한 후 로그인합니다.
* 이때 외국 번호로 인증 전화가 오기 때문에
 초기 전화번호 설정이 휴대폰 번호가 아니거나 국가번호가 없는 010으로 시작된 번호를 넣을 시 인증이 어려워
AWS Support 추가 지원을 문의해야 합니다.
(한국어 지원 요청 시 Please transfer to Korean agent로 요청을
시도해봅니다.)

+ 추가 지원 시 아마존에서는 고객 케이스 지원을 끝까지 Follow up 하는 시스템을 가지고
48 시간 이내 답변을 안 한 시 케이스를 닫아버리기 때문에 빠른 처리를 위해서는 꾸준히 답변 확인을 해야 합니다.